二重の行動、三重の感染、そして新たなRAT：SideCopyによるインド国防省への執拗な攻撃

概要

SideCopy APTによる新たな攻撃キャンペーンが、インドの防衛部門を標的として確認されました。このグループは、フィッシングメールの添付ファイルとURLを感染経路として悪意のあるアーカイブファイルをダウンロードさせ、2種類のAction RATペイロードと新たな.NETベースのRATを展開させます。感染チェーンには3つのテーマがあり、それぞれDRDOの「Invitation Performa」（防衛調達手順（DPP）の一部）を狙ったハニートラップ、そしてインド軍の「海外任務における将校の選抜」を狙ったものとなっています。

この進行中のキャンペーンは、DRDOの上級科学者がパキスタンの工作員に機密情報を漏洩し、ハニートラップを仕掛けられたとして逮捕された後に発覚した。Facebook、Twitter、WhatsAppなどのソーシャルメディアプラットフォームでは「ハニートラップ」が急増しており、数百万もの不正アカウントがボットや餌として利用されている。

同様に、2023年4月には、DRDOを標的とした同じ感染チェーンが利用され、囮のテーマはKXNUMXミサイルクリーンルームの「HVAC空調設計基準報告書」でした。同月に使用された別のテーマは「下士官および下士官への危険手当および困難手当の付与に関する助言」でした。XNUMX月にも、彼らは「サウジアラビア代表団とインド軍医療関係者」というテーマで国防省を標的にしました。

SideCopy は、2019 年に発見されて以来、インド国防 (軍隊および武装勢力) を執拗に標的にしていることで知られています。

主な発見

• 3 つの感染チェーンは、ドメイン elfinindia[.]com でホストされている同じペイロードにつながります。
• 感染経路は以下のとおりです。アーカイブファイルには、それぞれDOCX、PNG、PDFに偽装された悪意のあるショートカット（LNK）ファイルが含まれています。このLNKファイルはMSHTAをトリガーし、このドメイン上のリモートHTAファイルを実行します。

図1 – 感染プロセス

• Action RAT の 18 つの亜種と、2 個の CXNUMX コマンドをサポートする新しい .NET ベースの RAT の展開が確認されています。
• Action RATは、デスクトップ、ドキュメント、ダウンロードディレクトリ内のすべてのドキュメントと画像を盗み出す、より大きな亜種をダウンロードして実行します。正規の「credwiz.exe」ファイルは、両方のRATのサイドロードに利用されます。
• C2 インフラにはよく見られる既知のホスト名があり、すべての TTP は長年にわたる SideCopy の既知の感染を直接指しています。

製品概要

今年、SideCopyはインド、特に防衛部門を積極的に標的にしています。同じ攻撃チェーンは、スピアフィッシングキャンペーンとハニートラップの標的を狙っています。パキスタンの工作員が防衛関係者を誘い込むためにハニートラップをますます多用していることから、それが引き起こす被害の大きさは想像に難くありません。したがって、これを阻止するために必要な措置を講じることが不可欠です。パキスタンおよび世界中の多くの脅威アクターがハニートラップを使用しており、最近ではこの種のサイバースパイ活動で情報が盗まれた事例が発見されています。最新の感染チェーンの詳細な分析と以前の亜種との比較については、ホワイトペーパーをご覧ください。

IOC